Ehdotus

Euroopan komissio antoi 7 päivänä helmikuuta 2013 ehdotuksen Euroopan parlamentin ja neuvoston direktiiviksi verkko- ja tietoturvallisuuden korkean tason varmistamiseksi Euroopan unionin alueella (jäljempänä tietoturvadirektiivi).

Direktiiviehdotuksella jäsenvaltiot velvoitettaisiin ensinnäkin laatimaan verkko- ja tietoturvastrategia sekä nimeämään kansallinen toimivaltainen viranomainen, jolla on riittävät taloudelliset ja henkilöstöresurssit turvariskien ja -poikkeamien ennaltaehkäisyä ja käsittelyä sekä niihin reagoimista varten.

Toiseksi direktiivillä luotaisiin jäsenvaltioiden ja komission välinen yhteistyömekanismi, jonka keinoin voitaisiin vaihtaa ennakkovaroituksia tietoturvariskeistä ja -poikkeamista, tehdä yhteistyötä niiden ratkaisemisessa ja järjestää säännöllisiä vertaisarviointeja sekä harjoituksia.

Kolmanneksi direktiivi velvoittaisi eräiden yhteiskunnan keskeisten alojen (rahoituspalvelut, liikenne, energia, terveys) kriittisten infrastruktuurien ylläpitäjät sekä keskeisimmät tietoyhteiskunnan palvelun tarjoajat ja julkishallinnot ottamaan käyttöön riskinhallintakäytänteitä ja raportoimaan ylläpitämiinsä keskeisiin palveluihin kohdistuvista merkittävistä tietoturvapoikkeamista.

Valtioneuvoston kanta

Valtioneuvosto kannattaa komission ehdotuksen tavoitetta verkko- ja tietoturvallisuuden korkean tason turvaamiseksi Euroopan unionissa ja sen jäsenmaissa. Valtioneuvosto osallistuu hallitusohjelman mukaisesti aktiivisesti tietoverkkoturvallisuutta koskevaan kansainväliseen yhteistyöhön, ja valtioneuvosto kannattaa sellaisia toimenpiteitä, jotka kannustaisivat kaikki jäsenvaltiot laatimaan strategiset tavoitteensa ja toimimaan yhteistyössä korkean tietoturvallisuuden ylläpitämiseksi ja tietoturvaloukkausten haitallisten vaikutusten torjumiseksi.

Tieto- ja viestintäteknologioista sekä niihin perustuvista tietojärjestelmistä ja palveluista tulee yhteiskunnan toiminnan kannalta yhä välttämättömämpiä. Niihin kohdistuvien uhkien rajat ylittävästä luonteesta johtuen Euroopan unionin jäsenmaiden välistä yhteistyötä tulee tiivistää ja kehittää edelleen.

Valtioneuvosto pitää perusteltuna, että kaikki jäsenvaltiot velvoitettaisiin määrittämään viranomaisvastuunsa ja perustamaan kansallisena tietotekniikan kriisiryhmänä toimiva CERT-ryhmä. Viranomaisten välisen keskinäisen yhteistyön kehittämiselle on syytä luoda edellytyksiä tavalla, jossa eri viranomaisten lakisääteiset tehtävät ja vastuut säilyvät selkeinä.

Valtioneuvosto katsoo, että tietoturvallisuutta koskevan läpinäkyvyyden lisäämiseksi ja paremman tilannetietoisuuden muodostamiseksi on tärkeää kerätä ja jakaa tietoa sellaisista tietoturvaloukkauksista sekä niiden haitallisista vaikutuksista, jotka vaarantavat yhteiskunnan häiriötöntä toimivuutta. Tällaisesta sääntelystä on hyviä kokemuksia sähköisen viestinnän toimialalla, jonka keskeisimmät toimijat on lainsäädännössä velvoitettu ilmoittamaan tietoturvaloukkauksista ja häiriöistä luottamusta ja puolueettomuutta nauttivalle kansallisena tietoturvaviranomaisena toimivalle Viestintävirastolle. Näitä kokemuksia tulisi mahdollisuuksien mukaan hyödyntää myös muilla yhteiskunnan toimivuuden kannalta keskeisillä toimialoilla, joiden toiminta on riippuvaista sähköisistä tieto- ja viestintäpalveluista ja niiden häiriöttömyydestä. Samalla on kuitenkin huolehdittava siitä, ettei Suomessa hyvin toimivan tietoturvayhteistyön edellytyksenä olevaa yritysten ja viranomaisten välistä keskinäistä luottamusta vaaranneta tarpeettomasti eikä menettelyillä lisätä kenenkään hallinnollista taakkaa kohtuuttomasti.

Valtioneuvosto pitää tärkeänä, että kukin yhteiskunnan toimija kantaa itse vastuunsa omien tietojärjestelmiensä häiriöttömästä ja turvallisesta käytöstä. Tiedon suojaamisen tarpeet ja tietoturvaloukkausten haitalliset vaikutukset yhteiskunnassa vaihtelevat huomattavasti eri yrityksissä, toimialoilla ja eri jäsenvaltioissa. Sen vuoksi on tärkeää, että kansallisilla viranomaisilla säilyy tarkoituksenmukainen liikkumavara määrittää, millaisen ilmoituskynnyksen ylittävistä tapahtumista yritysten ja hallinnon tulisi ilmoittaa viranomaisille. Kansallisilla viranomaisilla tulisi säilyttää tarkoituksenmukainen määrä harkintavaltaa rajat ylittävän tiedonvaihdon ja muiden tietoturvaan liittyvien toimenpiteiden osalta.

Valtioneuvosto pitää sisämarkkinoiden toimivuutta tärkeänä tavoitteena ja katsoo, että yhtenäinen eurooppalainen sääntely olisi omiaan edistämään luotettavien digitaalisten palvelujen ja sisämarkkinoiden kehittymistä EU:n alueella. Direktiivissä määriteltyjen toimialojen markkinat sekä julkishallinto ovat kuitenkin monilta osiltaan kansallisia, minkä vuoksi on tärkeää, että direktiiveissä otetaan riittävässä määrin huomioon kansallisten markkinoiden ja julkishallinnon erilaiset etenemisnopeudet ja sääntelytarpeet. Liian pitkälle viedystä harmonisoinnista voisi tulla kehityksen jarru, mikä ei edesauttaisi EU:n päämääriksi Lissabonin sopimuksessa julkilausuttujen tavoitteiden saavuttamisessa. Valtioneuvosto katsookin, että direktiivissä tulisi löytää tasapaino, joka mahdollistaa riittävän kansallisen liikkumavaran.

Valtioneuvosto katsoo myös, että komissiolle delegoitavien toimivaltuuksien tulisi olla tarkkarajaisia, oikeasuhtaisia, välttämättömiä ja hyvin perusteltuja.